搜索

[16203] 2020-12-13_GravityRAT针对Android设备的间谍行为分析

文档创建者：s7ckTeam
浏览次数：2
最后更新：2025-01-18
2020-12-13_GravityRAT针对Android设备的间谍行为分析 G r a v i t y R A T 针 对 A n d r o i d 设 备 的 间 谍 行 为 分 析 暗 影 安 全 实 验 室   F r e e B u f   2 0 2 0 - 1 2 - 1 3 概 述 ： 概 述 ： G r a v i t y R A T 是 一 款 隐 秘 的 间 谍 软 件 ， 从 2 0 1 6 年 开 始 就 反 复 被 用 于 针 对 印 度 的 持 续 性 攻 击 。 在 此 期 间 ， G r a v i t y R A T 添 加 了 很 多 新 功 能 ， 尤 其 是 文 件 渗 透 ， 远 程 命 令 执 行 ， 以 及 反 V M 技 术 ， 使 其 更 难 以 检 测 ， 它 可 以 非 常 快 速 地 从 受 感 染 计 算 机 中 窃 取 大 量 数 据 ， 甚 至 可 以 扫 描 连 接 到 受 害 设 备 的 外 部 硬 盘 驱 动 器 或 U S B ， 然 后 提 取 这 些 文 件 。 之 前 G r a v i t y R A T 比 较 注 于 计 算 机 的 恶 意 攻 击 ， 但 是 研 究 者 发 现 该 木 马 正 增 加 针 对 m a c O S 和 A n d r o i d 平 台 的 攻 击 。 近 期 ， 恒 安 嘉 新 暗 影 实 验 室 A p p 全 景 态 势 与 情 报 溯 源 挖 掘 平 台 监 测 到 一 款 名 为 爱 欲 故 事 （ 英 文 ： L u s t   S t o r i e s ） 的 恶 意 程 序 ， 研 究 人 员 分 析 发 现 该 应 用 利 用 用 户 A n d r o i d   设 备 的 多 个 广 播 事 件 （ 开 关 飞 行 模 ， 电 量 ， 充 电 状 态 ， 开 关 屏 幕 等 ） 触 发 启 动 恶 意 服 务 ， 然 后 窃 取 用 户 短 信 箱 信 息 、 用 户 联 系 人 信 息 、 通 话 记 录 信 息 等 ， 并 上 传 至 C 2 服 务 器 ， 给 用 户 个 人 隐 私 造 成 严 重 的 威 胁 ， 同 时 ， 研 究 人 员 发 现 该 样 本 G r a v i t y R A T 家 族 类 的 特 征 ， 但 样 本 代 码 并 不 复 杂 ， 推 断 是 G r a v i t y R A T 针 对 A n d r o i d 平 台 的 早 期 版 本 ， 本 文 针 对 G r a v i t y R A T 的 间 谍 行 为 进 行 披 露 ， 防 患 于 未 然 。 1 .   样 本 信 息 样 本 信 息 M D 5 ： c 7 b 8 e 6 5 e 5 d 0 4 d 5 f f b c 4 3 e d 7 6 3 9 a 4 2 a 5 f 包 名 ： 包 名 ： c o m . e x a m p l e . f i r s t 应 用 名 ： 应 用 名 ： L u s t S t o r i e s 安 装 图 标 ： 安 装 图 标 ： 2 .   恶 意 行 为 综 述 恶 意 行 为 综 述 该 应 用 以 流 行 影 视 题 材 为 应 用 名 称 ， 诱 导 用 户 安 装 使 用 。 在 用 户 的 使 用 过 程 中 恶 意 服 务 获 取 用 户 通 话 记 录 信 息 、 用 户 短 信 箱 信 息 、 用 户 联 系 人 信 息 等 ， 并 将 获 取 的 用 户 联 系 人 信 息 、 短 信 箱 信 息 、 通 话 记 录 信 息 等 保 存 到 指 定 的 文 件 当 中 ， 恶 意 程 序 以 设 备 的 状 态 触 发 恶 意 服 务 的 条 件 ， 通 过 相 应 状 态 的 广 播 触 发 恶 意 服 务 ， 将 包 含 用 户 信 息 的 文 件 上 传 到 指 定 服 务 器 。 3 .   运 行 流 程 图 运 行 流 程 图 该 应 用 以 流 行 影 视 题 材 为 应 用 名 称 ， 诱 导 用 户 安 装 使 用 。 用 户 安 装 后 恶 意 服 务 获 取 用 户 通 话 记 录 信 息 、 用 户 短 信 箱 信 息 、 用 户 联 系 人 信 息 等 ， 恶 意 程 序 以 设 备 的 状 态 为 触 发 恶 意 服 务 的 条 件 ， 通 过 相 应 状 态 的 广 播 触 发 恶 意 服 务 ， 获 取 包 含 用 户 短 信 箱 信 息 、 用 户 联 系 人 信 息 、 用 户 通 话 记 录 信 息 等 用 户 隐 私 文 件 。
图 3 - 1   程 序 运 行 流 程 图 4 .   技 术 原 理 分 析 技 术 原 理 分 析 4 . 1   诱 导 用 户 安 装 诱 导 用 户 安 装 该 应 用 以 流 行 影 视 题 材 为 应 用 名 称 ， 诱 导 用 户 安 装 使 用 ， 用 户 安 装 后 可 正 常 使 用 ， 用 户 打 开 界 面 获 取 所 需 信 息 。
图 4 - 1   诱 导 用 户 安 装 用 户 登 录 应 用 ：
图 4 - 2   用 户 登 录 用 户 进 入 应 用 获 取 内 容 : 图 4 - 3   向 用 户 展 示
内 容 4 . 2   程 序 加 载 运 行 程 序 加 载 运 行 恶 意 程 序 启 动 恶 意 服 务 ， 恶 意 服 务 初 始 化 远 控 地 址 ， 并 将 获 取 的 信 息 上 传 到 指 定 服 务 器 。 获 取 的 用 户 信 息 前 面 添 加 了 用 户 的 I M E I 字 段 ， 用 来 区 分 用 户 信 息 的 来 源 。 1 ） 恶 意 程 序 初 始 化 远 控 地 址 ： 图 4 - 4   初 始 化 远 控 地 址 2 ） 恶 意 服 务 远 控 地 址 : h t t p : / / n 2 . n o r t o * d a t e s . o n l i n e : 6 4 4 4 3   / F O X T R O T / u p l o a d . p h p 。 图 4 - 5   远 控 地 址 3 ） 恶 意 服 务 在 获 取 的 用 户 信 息 前 面 添 加 用 户 I M E I 字 段 ， 并 将 带 有 I M E I 的 用 户 信 息 上 传 到 指 定 服 务 地 址 。 图 4 - 6   上 传 带 有 I M E I 的 用 户 信 息 4 . 3   恶 意 行 为 分 析 恶 意 行 为 分 析 恶 意 程 序 根 据 设 备 的 状 态 发 送 对 应 的 广 播 ， 发 送 对 应 的 广 播 启 动 恶 意 服 务 ， 恶 意 服 务 获 取 用 户 通 话 记 录 信 息 、 用 户 短
信 箱 信 息 、 用 户 联 系 人 信 息 等 ， 将 获 取 的 信 息 上 传 到 指 定 服 务 器 。 4 . 3 . 1   恶 意 程 序 启 动 恶 意 服 务 恶 意 程 序 启 动 恶 意 服 务 恶 意 程 序 根 据 设 备 状 态 发 送 广 播 ， 发 送 对 应 动 作 广 播 ， 启 动 恶 意 服 务 。 1 ） 恶 意 程 序 根 据 设 备 状 态 发 送 广 播 启 动 恶 意 服 务 。 2 ） 设 备 关 闭 屏 幕 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . S C R E E N _ O F F 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。
图 4 - 8   屏 幕 关 闭 发 送 广 播 启 动 恶 意 服 务 3 ） 设 备 打 开 屏 幕 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . S C R E E N _ O N 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 9   屏 幕 打 开 发 送 广 播 启 动 恶 意 服 务 4 ） 设 备 开 关 飞 行 模 式 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . A I R P L A N E _ M O D E 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 1 0   飞 行 模 式 开 关 发 送 广 播 启 动 恶 意 服 务 5 ） 设 备 电 量 过 低 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . B A T T E R Y _ L O W 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 1 1   电 量 过 低 发 送 广 播 启 动 恶 意 服 务 6 ） 设 备 电 量 充 足 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . B A T T E R Y _ O K A Y 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 1 2   电 量 充 足 时 发 送 广 播 启 动 恶 意 服 务 7 ） 设 备 修 改 日 期 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . D A T E _ C H A N G E D 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。
图 4 - 1 3   日 期 改 变 发 送 广 播 启 动 恶 意 服 务 8 ） 设 备 充 电 时 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . A C T I O N _ P O W E R _ C O N N E C T E D 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 1 4   设 备 充 电 发 送 广 播 启 动 恶 意 服 务 9 ） 设 备 断 开 充 电 ， 设 备 发 送 a n d r o i d . i n t e n t . a c t i o n . A C T I O N _ P O W E R _ D I S C O N N E C T E D 广 播 ， 启 动 恶 意 服 务 ， 获 取 用 户 通 话 记 录 、 通 讯 录 、 短 信 等 内 容 。 图 4 - 1 5   断 开 电 源 发 送 广 播 启 动 恶 意 服 务 4 . 3 . 2   恶 意 服 务 获 取 用 户 信 息 恶 意 服 务 获 取 用 户 信 息 恶 意 服 务 启 动 后 获 取 用 联 系 人 信 息 、 用 户 通 话 记 录 信 息 、 用 户 s d 目 录 信 息 、 用 户 短 信 信 息 。 1 ） 恶 意 服 务 获 取 用 户 联 系 人 信 息 ： 图 4 - 1 6   获 取 用 户 联 系 人 信 息 将 获 取 的 联 系 人 信 息 保 存 到 c s . l o g 当 中 ：
图 4 - 1 7   联 系 人 信 息 保 存 到 c s . l o g 当 中 2 ） 恶 意 服 务 获 取 用 户 通 话 记 录 信 息 ： 图 4 - 1 8   获 取 用 户 通 话 记 录 恶 意 服 务 将 获 取 到 的 通 话 记 录 保 存 到 c l . l o g 当 中 ： 图 4 - 1 9   通 话 记 录 保 存 到 c l . l o g 当 中 3 ） 恶 意 服 务 获 取 用 户 s d 当 中 的 目 录 ：
图 4 - 2 0   获 取 用 户 s d 目 录 恶 意 服 务 将 获 取 的 s d 目 录 信 息 保 存 到 f s c . l o g 当 中 ： 图 4 - 2 1   保 存 s d 卡 目 录 信 息 4 ） 恶 意 服 务 获 取 用 户 短 信 信 息 ： 图 4 - 2 2   获 取 用 户 短 信 信 息 将 获 取 的 短 信 信 息 保 存 到 m s . l o g 当 中 ：
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

使用Markdown编辑器编辑 使用富文本编辑器编辑

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理